مختبر أبحاث الثغرات (CVE) وإثبات المفهوم — تحليل أمان أندرويد

👨‍🏫 معلومات المشرف

👤 معلومات الطالب

📚 معلومات المادة

🚀 ملخص المشروع ونطاقه

تم تطوير هذا المشروع كمشروع نهائي لمادة "اختبار الاختراق" (BGT006) في برنامج تكنولوجيا أمن المعلومات بجامعة إستينية. في نطاق المشروع، تم فحص 3 ثغرات أمنية حديثة مختلفة (CVE-2024-0044، CVE-2024-43093، CVE-2024-23706) التي تؤثر على نظام أندرويد البيئي بعمق، وتم إعداد بيئة معملية معزولة وتحليلها باستخدام منهجية التحقيق السيبراني.

🎯 المشكلة التي يحلها والغرض من المشروع

غالبًا ما تقتصر تحليلات أمان أندرويد التقليدية على التوثيق النظري أو الصور الثابتة فقط. يجمع هذا المشروع بين دورة الهجوم والدفاع باستخدام كودات قابلة للتشغيل لحل المشاكل الأساسية التالية:

• التحليل المباشر للثغرات: يلتقط بصمات ثغرات رفع الامتيازات الحرجة (LPE) مثل CVE-2024-0044 في طبقة سجل أندرويد (logcat) بشكل مباشر.
• الارتباط بين الفريق الأحمر والأزرق: يربط أداة الاستغلال للفريق الأحمر (exploit_sim.py) مع كاشف تتبع السجلات للفريق الأزرق (detector.py) من البداية إلى النهاية، ويقدم إثبات مفهوم (PoC) كامل للهجوم والدفاع.
• مخرجات أمنية منتجة: يحول الإنذارات المكتشفة تقارير JSON/CSV فورية وفقًا لمعايير SIEM ويغذيها بلوحة عرض مركزية (Dashboard).

⚡ إثبات المفهوم (PoC) بقيادة أمر واحد (محاكاة الهجوم والكشف)

تمت إضافة مشغلات PoC تعمل بأمر واحد (run_poc.bat / run_poc.sh) ليتمكن المستخدم الذي يستنسخ المشروع من تشغيله ورؤية المخرجات في ثوانٍ. تحاكي هذه السكريات خطوات استغلال الفريق الأحمر وتجعل كاشف الفريق الأزرق يُنشئ إنذارات ويكتب في ملف reports/detection_results.json. للحصول على خطوات التشغيل التفصيلية، يمكنك الرجوع إلى قسم التثبيت والتشغيل.

📊 جدول ملخص للثغرات التي تم تحليلها

🔌 تكامل وحدة المشروع النصفي (NetVanguard)

تم دمج وكيل تحليل السجلات الطرفية src/detector.py المطور ضمن المشروع مع لوحة NetVanguard المركزية لمراقبة الحالات الشاذة والإنذارات التي تم تطويرها كمشروع نصفي. تم نقل توقيعات الثغرات الحرجة الناشئة على المحاكي إلى محرك NetVanguard الخلفي عبر الشبكة، مما يحاكي بنية المراقبة المركزية (SIEM).

🕵️ بنية عمل وكيل تحليل السجلات (src/detector.py)

وكيل الكشف عن الثغرات (src/detector.py) هو محرك خفيف (lightweight) لمراقبة سجلات النقاط الطرفية مصمم لاكتشاف أنشطة الاستغلال التي تتم على جهاز أندرويد.

الميزات الأساسية وأوضاع التشغيل:

1. إدخال سجل مرن (3 أوضاع مختلفة):
   • تيار مباشر من ADB Logcat: يتصل مباشرة بالمحاكي عبر أمر adb connect ويراقب سجلات الجهاز مباشرة.
   • وضع Pipeline / Stdin: يمكن توصيله بأدوات CLI الأخرى ببنية adb logcat | python src/detector.py.
   • تتبع الملف (Tail -f): يراقب ملفات السجل المحفوظة مسبقًا (.log) سطرًا بسطر بشكل ديناميكي.
   • الرجوع (إدخال يدوي): إذا لم يتم تثبيت ADB أو ملف السجل على النظام، يقوم بتصفية أسطر السجل المدخلة يدويًا لأغراض الاختبار (وحدة المحاكاة المباشرة).
2. مطابقة التوقيعات القائمة على القواعد:
   • يتغذى من متغير DETECTION_KEYWORDS في ملف .env.
   • عندما يكتشف توقيعات استغلال حرجة مثل تعطل Android Runtime (SIGSEGV)، أخطاء تثبيت الحزمة (SIGABRT) وتعطل التطبيقات الآمنة (Process has died)، يُنشئ [TEHLIKE - ALARM] فورًا في المحطة الطرفية والسجلات.

🛠️ التقنيات المستخدمة

📂 هيكل دليل المشروع

Android-rce-analizi/
├── .github/
│   └── workflows/
│       └── detector_test.yml  # GitHub Actions (CI/CD) تكوين الاختبار التلقائي
├── .gitattributes             # تكوين إحصائيات لغة GitHub وسمات الملفات
├── README.md                  # الوثيقة الرئيسية للمشروع
├── ROADMAP.md                 # خارطة طريق المشروع (المرحلة 0-5)
├── start_dashboard.bat        # مشغل لوحة الويب لنظام Windows
├── start_dashboard.sh         # مشغل لوحة الويب لنظام macOS/Linux
├── run_poc.bat                # محاكي PoC بنقرة واحدة لنظام Windows
├── run_poc.sh                 # محاكي PoC بنقرة واحدة لنظام macOS/Linux
├── .gitignore                 # الملفات المستثناة من تتبع Git
├── .env.example               # قالب متغيرات البيئة
├── Dockerfile                 # تكوين Docker
├── docker-compose.yml         # تكوين الحاويات المتعددة
├── LICENSE                    # ملف الترخيص
├── mitigation/                # ملفات تخفيف الثغرات والتصحيح (patch)
│   ├── cve_2024_0044_patch.diff
│   ├── cve_2024_23706_mitigation.md
│   └── cve_2024_43093_mitigation.md
├── src/                       # الكودات المصدرية
│   ├── detector.py            # وكيل تحليل السجلات الطرفية (محرك الكشف الفوري)
│   ├── exploit_sim.py         # محاكي استغلال الثغرات للفريق الأحمر (Red Team)
│   └── test_detector.py       # اختبارات وحدة تلقائية مكتوبة للوكيل
├── reports/                   # تقارير المسح والكشف المحاكاة
│   ├── nessus_scan.csv        # مخرجات مسح ثغرات Nessus المحاكاة
│   └── detection_results.json # مخرجات السجل التي يسجلها محرك الكشف فوراً
├── web/                       # واجهة لوحة الويب
│   ├── index.html             # ملف HTML الرئيسي للوحة
│   ├── css/style.css          # أنماط الواجهة
│   └── js/main.js             # ديناميكيات الواجهة ومحاكي المحطة الطرفية
├── docs/                      # التوثيق
│   ├── assets/                # ملفات الصور والوسائط (بما في ذلك GIF التوضيحي)
│   ├── modules/               # وثائق الوحدات
│   ├── references/            # المصادر المرجعية
│   └── research/              # وثائق البحث المتعمق
│       ├── 01_zafiyet_analizi.md
│       ├── 02_teknik_mekanizma.md
│       ├── 03_saldirgan_perspektifi.md
│       ├── cve_2024_23706.md
│       ├── cve_2024_43093.md
│       ├── detector_test_output.md  # مخرجات تقرير الاختبار
│       └── final_rapor.md           # التقرير النهائي لتسليم المادة
└── honeypot/                  # ملفات بيئة honeypot (دليل تثبيت المحاكي)

🔬 منهجية التحليل والمحاكاة

تم تناول تحليل الثغرات ومحاكاة الدفاع ضمن نطاق المشروع من خلال دورة أمن سيبراني تتكون من 4 مراحل أساسية:

graph TD
    A["1. تحليل الثغرة والفحص الثابت"] --> B["2. إعداد البيئة المعملية المعزولة"]
    B --> C["3. محاكاة الاستغلال والتسجيل الديناميكي"]
    C --> D["4. الارتباط ولوحة التحكم المرئية"]

1. التحليل الثابت والنظري: تم فتح الكود المصدري لـ AOSP (مشروع أندرويد مفتوح المصدر) وتحديد الأخطاء المنطقية في مطابقات UID، وقيود الوصول إلى قاعدة بيانات SQLite، وآليات تثبيت الحزم.
2. البيئة المعملية المعزولة: تم وضع محاكي أندرويد (API 33-34) وتكوين honeypot في شبكة اختبار اختراق معزولة باستخدام حاويات Docker.
3. التسجيل والكشف الديناميكي: تم التقاط آثار التعطل والالتفاف الناتجة عن تفعيل الثغرات (مثل SIGSEGV) بواسطة وكيل كشف الثغرات src/detector.py عن طريق التصفية.
4. تصور لوحة التحكم: تم نقل البيانات المجمعة إلى واجهة web/ بعد إثرائها بمصفوفات المخاطر والرسوم البيانية لسلسلة الهجوم ومحاكاة المحطة الطرفية المباشرة التي يمكن للإداريين والمحللين فهمها.

التثبيت والتشغيل

المتطلبات الأساسية

• Python 3.8+
• Android SDK (API Level 33-34)
• Docker & Docker Compose
• ADB (Android Debug Bridge)

الخطوة 1: التحضير

# 1. استنساخ المستودع والانتقال إلى الدليل
git clone https://github.com/bfurkanyildiz/Android-rce-analizi.git
cd Android-rce-analizi

# 2. تحضير متغيرات البيئة (سيتم استخدام الإعدادات الافتراضية بدون .env)
cp .env.example .env

الخطوة 2: خيارات التشغيل

🚀 الخيار أ: محاكاة PoC بنقرة واحدة (أسرع طريقة)

لاختبار آلية الهجوم والكشف من البداية إلى النهاية دون الحاجة إلى أي تثبيت أو إعداد محاكي:

• Windows (نقرة مزدوجة أو CMD):
  root@kitploit:~

  run_poc.bat
  

• macOS / Linux (طرفية):
  root@kitploit:~

  bash run_poc.sh
  

🕵️ الخيار ب: وضع ADB المباشر اليدوي

لالتقاط logcat فوري أثناء تشغيل محاكي أندرويد:

# تشغيل الوكيل (يبدأ في الاستماع للسجلات المباشرة عبر ADB)
python src/detector.py

# من محطة طرفية أخرى، قم بتشغيل محاكي الهجوم
python src/exploit_sim.py

🐳 الخيار ج: وضع الحاوية مع Docker

لتشغيل جميع التبعيات في حاوية Docker معزولة:

docker-compose up -d

الخطوة 3: تشغيل الاختبارات التلقائية

لاختبار جودة البرامج ومعايير CI/CD:

python -m unittest src/test_detector.py

🖥️ واجهة لوحة الويب

يمكن لأي مستخدم يستنسخ المشروع (git clone) تشغيل واجهة الويب الغنية التي تحتوي على تقارير التحليل ومحاكاة المحطة الطرفية بسهولة على جهازه المحلي.

معاينة لوحة التحكم (عرض توضيحي)

لعرض الواجهة، يمكنك استخدام إحدى الطرق التالية:

1. سكريبتات التشغيل التلقائي (موصى به)

لتشغيل خادم HTTP المحلي في الخلفية وفتح الواجهة تلقائيًا في متصفحك الافتراضي، قم بتشغيل الأمر المناسب لنظام التشغيل لديك:

• Windows (PowerShell / CMD): يمكنك النقر نقرًا مزدوجًا على ملف start_dashboard.bat في الدليل الرئيسي للمشروع، أو تشغيله من المحطة الطرفية بالأمر التالي:
  root@kitploit:~

  start_dashboard.bat
  

• macOS / Linux (Bash): للبدء مباشرة من المحطة الطرفية (بدون الحاجة إلى إذن التنفيذ):
  root@kitploit:~

  bash start_dashboard.sh
  

  أو عن طريق منح الإذن بالتنفيذ للملف:
  root@kitploit:~

  chmod +x start_dashboard.sh
  ./start_dashboard.sh
  

2. التشغيل دون اتصال (بدون خادم)

للتشغيل مباشرة دون الحاجة إلى أي خادم محلي:

1. انتقل إلى دليل web/.
2. انقر نقرًا مزدوجًا فوق ملف index.html لفتحه مباشرة في متصفحك.

3. البدء بخادم يدوي

إذا كنت ترغب في تشغيل خادم Python يدويًا:

python -m http.server 8080

ثم انتقل في متصفحك إلى http://localhost:8080/web/index.html.

🔄 CI/CD والفحوصات الأمنية/الجودة التلقائية

تتم إدارة مشروعنا وفقًا لمبادئ هندسة البرمجيات المتوافقة مع معايير الأمن السيبراني (DevSecOps). عند كل عملية دفع (push) أو طلب سحب (pull request) إلى المستودع، ينفذ GitHub Actions مسار العمل التالي (pipeline):

1. دعم أنظمة تشغيل متعددة (Matrix Build): يتم اختبار كود الوكيل على كل من أنظمة ubuntu-latest و windows-latest للتحقق من التوافق عبر المنصات.
2. تحليل الكود الثابت (Linter): يتم فحص معايير كتابة Python (PEP 8) باستخدام أداة flake8.
3. تحليل الأمان الثابت (Bandit Scan): يتم مسح الأنماط الحرجة المحتملة للثغرات في الكود تلقائيًا باستخدام أداة bandit (تم وضع علامة # nosec على جميع حالات الإيجابيات الكاذبة وفقًا لمعايير الأمن السيبراني).
4. اختبار تكامل خط الأنابيب: يتم تشغيل خط الأنابيب exploit_sim.py | detector.py لمحاكاة دورة الاستغلال والكشف من البداية إلى النهاية.
5. مخرجات التقرير (Artifacts): يتم تحميل ملف detection_results.json الذي تم إنشاؤه نتيجة PoC الناجح تلقائيًا كملف مضغوط (zip) إلى مخرجات Actions.

معاينة مخرجات PoC في المحطة الطرفية:

⚠️ إخلاء المسؤولية القانوني

هذا المشروع مخصص للأغراض الأكاديمية والتعليمية فقط. يتم إجراء جميع الاختبارات في بيئة معملية خاضعة للرقابة، على أجهزة افتراضية معزولة. أي محاولة هجوم على أجهزة حقيقية أو أنظمة تابعة لجهات خارجية غير قانونية وتقع خارج نطاق هذا المشروع.

📄 الترخيص

هذا المشروع مرخص بموجب رخصة جنو العمومية العامة الإصدار 3.0.